SIM swapping em Portugal: a burla da troca de cartão e como se proteger

No SIM swapping, o criminoso convence a operadora a transferir o seu número para um cartão nas mãos dele. A partir daí recebe as suas chamadas e — bem pior — os SMS com os códigos de verificação do seu banco. Veja como fazem isso, o que denuncia o ataque e como se proteger.

Ao contrário das burlas que já conhece, aqui ninguém o engana numa chamada. O golpe acontece contra a sua operadora. Por isso é tão perigoso: pode fazer tudo bem, nunca atender números desconhecidos, e mesmo assim perder o controlo da sua linha. A boa notícia é que existem defesas concretas, e a maioria é grátis.

O que é exatamente o SIM swapping

O seu número não mora dentro do cartão SIM de plástico. Mora nos sistemas da operadora, que associam aquele número a um cartão específico. Quando perde o telemóvel ou o cartão se estraga, a operadora desativa o cartão antigo e ativa um novo com o mesmo número. Um serviço legítimo e necessário.

O SIM swapping (também chamado de troca fraudulenta de cartão SIM) acontece quando um criminoso solicita essa troca fazendo-se passar por si. Se conseguir, o seu cartão a sério fica sem serviço em minutos e o seu número passa a funcionar no telefone do atacante. Uma variante próxima é a portabilidade fraudulenta: levar o seu número para outra operadora com documentos falsos.

A partir daí, tudo o que depende do seu número cai nas mãos dele: os SMS com códigos de verificação do banco, do e-mail e das redes sociais; as chamadas de confirmação que algumas instituições fazem antes de uma operação; e os SMS de recuperação de palavra-passe de dezenas de serviços. Com o código que chega por SMS, o atacante entra no seu homebanking, autoriza MB Ways e transferências ou esvazia a sua conta — sem que a sua palavra-passe tenha sido comprometida.

Como conseguem fazer-se passar por si na operadora

A troca de cartão não é o primeiro passo da fraude — é o último. Antes, o criminoso precisa de juntar dados suficientes para convencer a operadora de que é o titular da linha. Essa fase prévia é pura engenharia social: fugas de dados, phishing e smishing a pedir para "confirmar" os seus dados, chamadas a fazerem-se passar pelo banco ou pela operadora, e informação pública das suas redes sociais.

Por isso o SIM swapping quase sempre vem depois de outra tentativa de burla. Se recebeu recentemente uma chamada ou SMS a pedir dados pessoais, trate isso como um alerta precoce.

Porque o SMS deixou de ser um segundo fator seguro

Durante anos, receber um código por SMS para confirmar uma operação parecia suficiente: só você tem o seu telemóvel, logo só você recebe o código. O SIM swapping quebra essa premissa pela raiz. Se o atacante controla o seu número, o código chega-lhe a ele.

A conclusão não é que o SMS não serve para nada, mas que é o fator mais fraco que existe. Se puder escolher outro método de verificação, escolha.

Os sinais de um SIM swap em curso

A sua grande vantagem defensiva é que o SIM swapping deixa um rasto bem visível: o seu telemóvel deixa de funcionar. O problema é que muita gente confunde com uma falha técnica e demora horas a reagir. Cada minuto conta.

O sinal Nº 1 é a perda de rede inexplicável. Se está onde sempre tem cobertura e ela desaparece de repente, e reiniciar não resolve, não deixe para depois. Pegue noutro telefone e ligue à sua operadora para confirmar que o seu cartão continua ativo e que ninguém pediu uma troca.

O que fazer nos primeiros minutos

1. Ligue à sua operadora (MEO, NOS ou Vodafone) de outro telefone e peça o bloqueio de qualquer troca ou portabilidade e a reativação do seu cartão. Diga que suspeita de fraude.
2. Contacte o seu banco pelo canal oficial (a app ou o número do verso do cartão) e peça o bloqueio de acessos e operações online.
3. Mude as palavras-passe do seu e-mail principal e do banco a partir de um dispositivo de confiança — não do telemóvel afetado.
4. Reveja as suas contas à procura de movimentos que não fez.
5. Apresente queixa na PSP ou na GNR e reclame à ANACOM. Guarde todos os comprovativos.

Como se proteger antes que aconteça

O PIN de segurança da operadora: o seu melhor escudo

As operadoras em Portugal permitem definir um PIN ou palavra-passe de atendimento para procedimentos sensíveis como trocas de cartão e portabilidades. Sem essa chave, nem mesmo com os seus dados pessoais deveriam autorizar a mudança.

Nem sempre vem ativo por defeito. Peça-o expressamente: ligue à sua operadora ou aceda à sua área de cliente, solicite a ativação de um PIN de segurança para procedimentos de linha, escolha um código nada óbvio (nada de datas de nascimento) e guarde-o separado de tudo o resto. É grátis e é a barreira mais eficaz contra a troca fraudulenta.

Troque o SMS por métodos de verificação mais fortes

Mesmo que façam o SIM swap, se as suas contas críticas não dependem de SMS, o atacante fica sem a peça-chave:

A recomendação prática: migre o segundo fator do banco, do e-mail e das redes para uma app de autenticação ou passkeys onde for possível. Deixe o SMS só para serviços sem alternativa.

Reduza a sua pegada de dados e blinde o e-mail

Nunca dê dados pessoais a quem lhe ligou sem ter sido você a iniciar o contacto, desconfie da urgência, reveja o que publica nas redes e aja perante avisos de fugas de dados. E lembre-se de que o seu e-mail é a chave-mestra: proteja-o com a melhor verificação possível e ative as notificações do banco para cada acesso ou movimento.

O seu plano anti-SIM swap

1. Ative o PIN da sua operadora ainda hoje.
2. Tire o SMS do seu 2FA no banco, e-mail e redes.
3. Trate a perda súbita de rede como uma emergência, não como uma falha técnica.
4. Proteja o seu e-mail acima de tudo e ative os alertas do banco.

O SIM swapping assusta porque ataca algo que julgava inviolável: o seu próprio número. Mas é uma das fraudes que melhor se previnem a tempo: uma chamada para a operadora e meia hora a mudar definições.